Como Exportar Logs do Microsoft Sentinel

Os dados do Sentinel vivem em um workspace do Log Analytics, portanto, uma exportação é uma consulta KQL mais uma maneira de salvar os resultados como JSON. O mais simples é o Azure CLI: az monitor log-analytics query retorna um objeto JSON por linha. O botão de exportação do portal produz um arquivo no estilo de planilha que o LogTotal não lê atualmente, portanto, use o CLI ou PowerShell para uploads.

O Sentinel coleta de todos os lugares: Windows, Linux, Entra ID, Microsoft 365, firewalls, nuvens. Isso faz dele o local natural para extrair um segmento de investigação. O Prime Core possui 23.700 regras de detecção para o Microsoft Sentinel, mapeadas para 674 técnicas MITRE ATT&CK. Abaixo está como extrair os dados, sanitizá-los e investigá-los gratuitamente no LogTotal.

Comece Gratuitamente

Antes de começar

Permissões. Leitor de Log Analytics ou Leitor do Microsoft Sentinel no workspace é suficiente.

O ID do workspace. O CLI requer o GUID do workspace, a partir da página de visão geral do workspace, não seu nome.

Conheça suas tabelas. As que mais importam: SecurityEvent (Windows), Syslog (Linux), SigninLogs e AuditLogs (Entra ID), OfficeActivity (Microsoft 365), CommonSecurityLog (CEF de firewalls e outros dispositivos), AzureActivity, além de quaisquer tabelas personalizadas _CL.

Níveis de retenção. Os dados em retenção interativa podem ser consultados diretamente. Dados que envelheceram para retenção de longo prazo não podem ser: você precisa de um trabalho de busca ou de uma restauração primeiro. Alguns planos de tabela (Básico, Auxiliar) também limitam o que o KQL pode fazer.

Onde você escreve KQL. Dependendo de como seu inquilino está configurado, isso é Caça avançada no portal do Microsoft Defender ou Logs no portal do Azure. As consultas são as mesmas.

Os comandos seguem a documentação da Microsoft, verificada em outubro de 2026.

Passo 1: Escreva a consulta

Mantenha-se nos eventos. Não resuma se quiser os logs de volta. Para atividades de SSH no Linux:

Syslog
| onde TimeGenerated entre (datetime(2026-10-19) .. datetime(2026-10-20))
| onde Computer == "web-03"
| onde ProcessName in ("sshd", "sshd-session")

Para logons e mudanças de conta no Windows em um controlador de domínio:

SecurityEvent
| onde TimeGenerated entre (datetime(2026-10-19) .. datetime(2026-10-20))
| onde Computer startswith "DC-01"

Execute primeiro no portal e verifique a contagem de linhas.

Passo 2: Exporte como JSON

Azure CLI:

az login
az monitor log-analytics query 
  --workspace <workspace-guid> 
  --analytics-query "Syslog | where TimeGenerated between (datetime(2026-10-19) .. datetime(2026-10-20)) | where Computer == 'web-03'" 
  --output json > sentinel_web03_1019.json

jq -c '.[]' sentinel_web03_1019.json > sentinel_web03_1019.jsonl

A primeira execução pode solicitar a instalação da extensão log-analytics. Aceite.

PowerShell (Módulo Az):

Connect-AzAccount
$kql = "SecurityEvent | where TimeGenerated between (datetime(2026-10-19) .. datetime(2026-10-20)) | where Computer startswith 'DC-01'"
(Invoke-AzOperationalInsightsQuery -WorkspaceId '<workspace-guid>' -Query $kql).Results |
  ForEach-Object { $_ | ConvertTo-Json -Compress } | Out-File sentinel_dc01_1019.jsonl -Encoding utf8

Os resultados da consulta são limitados em linhas e tamanho. Para tabelas movimentadas, divida a janela em horas e execute a exportação uma vez por segmento.

Passo 3: Faça o upload, sanitize e revise no LogTotal

1. Faça o upload. Abra logtotal.com e solte o arquivo .jsonl. 
2. Sanitize. 
3. Revise. 

Quando algo dá errado